預(yù)測(cè)一：帶附件的商務(wù)郵件有可能會(huì)對(duì)您造成巨大危害

 

　　企業(yè)正在快速成為網(wǎng)絡(luò)罪犯的主要攻擊目標(biāo)，過(guò)去五年間，全球有超過(guò)120億美元的損失源于商務(wù)郵件。在企業(yè)環(huán)境中，盜取密碼和登錄信息變得愈加普遍，攻擊者對(duì)此信心十足且樂(lè)此不疲，那就是偽裝成合作伙伴或者內(nèi)部利益相關(guān)者對(duì)各類規(guī)模的企業(yè)進(jìn)行攻擊。如果企業(yè)不改革，這類攻擊就會(huì)一直對(duì)企業(yè)造成影響。對(duì)商務(wù)郵件的攻擊一直呈現(xiàn)增長(zhǎng)趨勢(shì)，攻擊者使用的手段也愈加多元和復(fù)雜，從偽裝成公司網(wǎng)址到鎖定員工個(gè)人社交賬號(hào)來(lái)發(fā)動(dòng)攻擊。此外，攻擊者在規(guī)避內(nèi)部檢查方面愈加游刃有余。能不能在2019年打敗這些網(wǎng)絡(luò)罪犯，值得懷疑!

 

　　提示

 

　　條件允許的話，企業(yè)需要對(duì)其內(nèi)部信息流向進(jìn)行評(píng)估，并實(shí)施更多全面的檢查和審批流程，特別是有關(guān)資源的流動(dòng)問(wèn)題。這是因?yàn)樵诰W(wǎng)絡(luò)安全領(lǐng)域，密碼因其易于被盜、難于保護(hù)、無(wú)法證明使用者身份等特點(diǎn)，成為網(wǎng)絡(luò)安全中最薄弱的一個(gè)環(huán)節(jié)。因此，2019年我們會(huì)看到諸如雙因子或多因子認(rèn)證及生物識(shí)別技術(shù)等保護(hù)措施被更廣泛使用。

 

　　預(yù)測(cè)二：供應(yīng)鏈將成為最薄弱環(huán)節(jié)

 

　　數(shù)字時(shí)代消除了限制，促進(jìn)了全球性互聯(lián)互通供應(yīng)鏈的發(fā)展，使得企業(yè)可以很方便地發(fā)掘全球供應(yīng)商及外包服務(wù)。這種連接也包括數(shù)據(jù)與網(wǎng)絡(luò)的共享，一方面企業(yè)通過(guò)這種連接和分析功能大大提高了效率，另一方面這也給那些伺機(jī)而動(dòng)的攻擊者尋找現(xiàn)有網(wǎng)絡(luò)安全漏洞大開(kāi)了方便之門(mén)。這種風(fēng)險(xiǎn)尤其表現(xiàn)在醫(yī)療領(lǐng)域，諸如核磁共振成像(MRI)和X光機(jī)等醫(yī)療設(shè)備接入醫(yī)院內(nèi)部網(wǎng)絡(luò)并與第三方網(wǎng)絡(luò)相連，這就為更多新型攻擊面和漏洞提供了機(jī)會(huì)，而這些醫(yī)院系統(tǒng)往往無(wú)法控制。

 

　　全球供應(yīng)鏈變得日益復(fù)雜，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的精準(zhǔn)定位并成功規(guī)避風(fēng)險(xiǎn)幾無(wú)可能。對(duì)于其他領(lǐng)域的企業(yè)來(lái)講，現(xiàn)在正是捫心自問(wèn)的時(shí)候，“有哪些個(gè)人、哪些組織、哪些第三方正在連接我們的網(wǎng)絡(luò)，我們是否完全知曉？有哪些系統(tǒng)或者服務(wù)是我們所依賴的？”

 

　　提示

 

　　首席安全官需對(duì)網(wǎng)絡(luò)流量嚴(yán)密監(jiān)測(cè)，以確保敏感信息與外部設(shè)備和系統(tǒng)隔離。一旦多個(gè)未經(jīng)保護(hù)的設(shè)備與公司網(wǎng)絡(luò)相連接，比如物聯(lián)網(wǎng)（IoT），短時(shí)間內(nèi)就會(huì)成為“有威脅的互聯(lián)網(wǎng)”。盡管會(huì)有部分第三方應(yīng)用以及聯(lián)網(wǎng)設(shè)備難以幸免，但廣大企業(yè)以及業(yè)務(wù)部門(mén)需要將注意力集中在采購(gòu)設(shè)備及服務(wù)方面的內(nèi)部安全標(biāo)準(zhǔn)上面。這就要求：確保固件和應(yīng)用實(shí)時(shí)更新，登錄默認(rèn)設(shè)置一定要修改。如果您的網(wǎng)絡(luò)中安裝有第三方系統(tǒng)或設(shè)備，一定要采用零信任模式，將全部流量置于特定區(qū)域，對(duì)其進(jìn)行檢測(cè)和區(qū)分，只允許授權(quán)用戶和應(yīng)用與其通訊。2019年，攻擊者會(huì)把某個(gè)未受保護(hù)的連接設(shè)備當(dāng)做一個(gè)網(wǎng)關(guān)來(lái)發(fā)動(dòng)攻擊，就像使用手機(jī)或電腦一樣方便。

 

　　預(yù)測(cè)三：數(shù)據(jù)保護(hù)立法工作在亞太區(qū)取得進(jìn)展

 

　　亞太區(qū)各國(guó)紛紛承諾將在網(wǎng)絡(luò)安全方面加強(qiáng)合作，數(shù)據(jù)保護(hù)框架的正規(guī)化趨勢(shì)勢(shì)在必然。澳大利亞及新加坡已捷足先登，其他國(guó)家則緊隨其后，這些國(guó)家已經(jīng)開(kāi)始意識(shí)到保衛(wèi)國(guó)家安全、保護(hù)公民數(shù)據(jù)的緊迫性。由于各個(gè)國(guó)家之間的數(shù)字化程度不同，要制定出本地版本的《通用數(shù)據(jù)保護(hù)條例》（GDPR）尚需時(shí)日，發(fā)展道路也非一蹴而就。但即便如此，2019年也會(huì)有更多國(guó)家邁出保護(hù)公民數(shù)據(jù)的第一步。

 

　　提示

 

　　歐盟《通用數(shù)據(jù)保護(hù)條例》已經(jīng)吹響了號(hào)角，它引導(dǎo)亞太區(qū)更多企業(yè)將重點(diǎn)放在他們收集和存儲(chǔ)的數(shù)據(jù)上面。這些企業(yè)可以把《通用數(shù)據(jù)保護(hù)條例》當(dāng)作基準(zhǔn)來(lái)評(píng)估其在合規(guī)方面有何差距，然后決定其要采取的總體防御態(tài)勢(shì)。要在整個(gè)亞太區(qū)形成一個(gè)通用的框架還需要幾年時(shí)間，但企業(yè)可以參考《通用數(shù)據(jù)保護(hù)條例》來(lái)削減收集不必要的個(gè)人數(shù)據(jù)，從而減少在流程中泄露數(shù)據(jù)，降低風(fēng)險(xiǎn)。

 

　　預(yù)測(cè)四：2019年安全趨勢(shì)：云安全應(yīng)該引起我們的重視

 

　　現(xiàn)在是一個(gè)應(yīng)用驅(qū)動(dòng)的時(shí)代，部分原因是因?yàn)橛辛嗽朴?jì)算。云計(jì)算可以幫助企業(yè)無(wú)需在計(jì)算資源上面花費(fèi)巨資便可交付產(chǎn)品和服務(wù)，因此成為企業(yè)不可或缺的資源。一方面，云計(jì)算可以幫助我們簡(jiǎn)化某些領(lǐng)域的安全問(wèn)題，但另一方面也會(huì)帶來(lái)新的挑戰(zhàn)。實(shí)施云戰(zhàn)略便意味要在任務(wù)關(guān)鍵型數(shù)據(jù)和系統(tǒng)方面與第三方展開(kāi)合作，這就要求安全地存儲(chǔ)和傳輸這些數(shù)據(jù)，而且只能由授權(quán)人員訪問(wèn)，這一點(diǎn)相當(dāng)重要。云安全不僅僅是云服務(wù)提供商一家的責(zé)任，企業(yè)更要投入到保護(hù)數(shù)據(jù)、應(yīng)用、操作系統(tǒng)、網(wǎng)絡(luò)配置等諸多安全的戰(zhàn)斗中來(lái)。生態(tài)系統(tǒng)互為依托，安全問(wèn)題已經(jīng)成為復(fù)雜的擔(dān)當(dāng)，特別是對(duì)于那些開(kāi)始尋找網(wǎng)絡(luò)安全人才并且使用諸多市場(chǎng)中已有的單點(diǎn)產(chǎn)品的企業(yè)來(lái)講，更是責(zé)無(wú)旁貸。

 

　　提示

 

　　企業(yè)在實(shí)現(xiàn)快速創(chuàng)新和快速交付全新服務(wù)的同時(shí)，還要處理復(fù)雜的計(jì)算資源網(wǎng)絡(luò)，就很容易忽略確保網(wǎng)絡(luò)安全的要求。DevOps可以幫助加速開(kāi)發(fā)，但會(huì)給網(wǎng)絡(luò)安全帶來(lái)挑戰(zhàn)，特別現(xiàn)在是正處于由傳統(tǒng)IT管理向DevOps過(guò)渡的階段。

 

　　為了獲得成功，企業(yè)需要將流程、技術(shù)以及最重要的人才等安排就位，確保系統(tǒng)足夠安全。

 

　　一定要記住：傳統(tǒng)安全系統(tǒng)由諸多單點(diǎn)產(chǎn)品組成，已被證明不足以防范數(shù)量和復(fù)雜性上升的網(wǎng)絡(luò)攻擊。太多安全工具嚴(yán)重依賴人工干預(yù)，無(wú)法快速實(shí)施全新防御，無(wú)法對(duì)持續(xù)的，特定攻擊進(jìn)行有效影響。降低網(wǎng)絡(luò)風(fēng)險(xiǎn)，就需要部署集成的、自動(dòng)化的有效的控制措施，從而在攻擊生命周期的各個(gè)階段對(duì)已知和未知威脅進(jìn)行監(jiān)測(cè)和防御。

 

　　預(yù)測(cè)五：我們終將認(rèn)識(shí)到關(guān)鍵基礎(chǔ)設(shè)施的重要性

 

　　關(guān)鍵基礎(chǔ)設(shè)施，指的不僅僅是公共設(shè)施或者資源，演進(jìn)到今天這一個(gè)概念還包括其他重要領(lǐng)域，如銀行和金融服務(wù)、電信和媒體等。由于關(guān)鍵基礎(chǔ)設(shè)施在向數(shù)字化和自動(dòng)化發(fā)展，企業(yè)與工業(yè)網(wǎng)絡(luò)之間相互作用，很容易成為網(wǎng)絡(luò)罪犯的攻擊目標(biāo)。特別是對(duì)于包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（supervisorycontrolanddataacquisition,SCADA）和工控系統(tǒng)(industrialcontrolsystems,ICS)在內(nèi)的工業(yè)系統(tǒng)尤其危險(xiǎn)，這是工業(yè)系統(tǒng)對(duì)于能源、供水、公共交通等領(lǐng)域至關(guān)重要，而后者都依賴于這些傳統(tǒng)的無(wú)法打補(bǔ)丁的系統(tǒng)。

 

　　英國(guó)網(wǎng)絡(luò)安全中心曾提出過(guò)警示：英國(guó)遭受網(wǎng)絡(luò)攻擊是無(wú)法避免的，有可能受到攻擊的目標(biāo)是選舉或者關(guān)鍵基礎(chǔ)設(shè)施。這一觀點(diǎn)在《2018世界經(jīng)濟(jì)論壇全球風(fēng)險(xiǎn)報(bào)告》中也有提及，這一報(bào)告將網(wǎng)絡(luò)攻擊認(rèn)定為導(dǎo)致全球混亂的主要原因，僅位于自然災(zāi)害和極端天氣之后。鑒于這種情況，2019年我們?cè)撊绾伪Ｐl(wèi)亞洲呢？

 

　　提示

 

　　截至目前，基礎(chǔ)設(shè)施擁有者主要將關(guān)注點(diǎn)放在信息保密性上面，忽略了信息安全的其他兩個(gè)方面，即完整性和可用性。在亞太區(qū)國(guó)家開(kāi)始采用工業(yè)4.0技術(shù)（如應(yīng)用于自動(dòng)駕駛領(lǐng)域的機(jī)器學(xué)習(xí)）的情況下，這種忽略顯得尤其嚴(yán)重。技術(shù)創(chuàng)新嚴(yán)重倚賴遙測(cè)和不間斷連接，那些對(duì)千百萬(wàn)公眾生命安全負(fù)責(zé)的系統(tǒng)，要求數(shù)據(jù)必須精確且可獲取。在這種情況下，關(guān)鍵基礎(chǔ)設(shè)施，無(wú)論其是公有還是私有，都需要將零信任系統(tǒng)部署到位，并確保訪問(wèn)隔離。

 

　　此外，對(duì)合規(guī)的認(rèn)識(shí)也要與時(shí)俱進(jìn)。有關(guān)安全，關(guān)鍵基礎(chǔ)設(shè)施的擁有者需要從合規(guī)驅(qū)動(dòng)這一模式上跳離，轉(zhuǎn)向?qū)崟r(shí)防護(hù)這一模式上來(lái)。監(jiān)管者和擁有者，可以聯(lián)合起來(lái)共同制定出兩方面都適用的監(jiān)管框架，采用安全第一的方法來(lái)設(shè)計(jì)和維護(hù)所有的關(guān)鍵基礎(chǔ)設(shè)施。請(qǐng)記住，安全問(wèn)題要從一開(kāi)始著手，而不是零敲碎打，東修西補(bǔ)。